Las direcciones IP de les usuaries de Internet deben ser consideradas como datos personales y por tanto, están protegidos por la LOPD

La Sección Sexta de la Sala de lo conten­ci­oso-admi­nis­tra­tivo del Tribu­nal Supremo ha dictado una senten­cia de fecha 3 de octu­bre de 2014 (recurso número 6153/2011), por la que esta­blece una inter­e­sante doctrina sobre la consi­de­ra­ción de la claves IP, a efec­tos de la protec­ción de datos de carác­ter perso­nal.

La senten­cia estima, con base en la STJUE de senten­cia de 24 de novi­em­bre de 2011 (asun­tos acumu­la­dos C-468/10 y C-469/10, caso ASNEF), que  las direc­ci­o­nes IP son datos perso­na­les, en el sentido del artí­culo 3.a) LOPD y, como tales, se encu­en­tran prote­gi­dos por las garan­tías esta­ble­ci­das por dicho texto legal para su trata­mi­ento.

Al no produ­cirse la impo­si­bi­li­dad de infor­mar a los inter­sa­dos del trata­mi­ento de sus direc­ci­o­nes IP, ni exigir dicho trámite un esfu­erzo despro­por­ci­o­nado al obli­gado al mismo, no concur­ren los moti­vos exigi­dos para apli­car la exen­ción del deber de infor­mar al inter­e­sado del trata­mi­ento de sus datos.

Además, no cabe presu­mir, de forma segura e indu­da­ble, tal como exige el artí­culo 6 de la LOPD que los inter­e­sa­dos han otor­gado su consen­ti­mi­ento para el trata­mi­ento de sus datos por el hecho de conec­tarse a una red P2P.

El hecho de que un usua­rio de red P2P conozca que su direc­ción IP es visi­ble y puede ser cono­cida, no  signi­fica que acepte de forma inequí­voca su uso y trata­mi­ento por terce­ros, ni que consi­enta de forma  espe­cí­fica el trata­mi­ento de sus datos que pretende la parte recur­rente. Por tanto, no puede equi­pa­rarse el cono­ci­mi­ento por el titu­lar de que su direc­ción IP es visi­ble en las redes P2P, con su consen­ti­mi­ento para su trata­mi­ento auto­ma­ti­zado junto con otros datos de su tráfico.

Igual­mente la senten­cia señala que los 138.3, 139.1 h) y 141.6 de la Ley de Propi­e­dad Inte­lec­tual (RDLe­gis­la­tivo 1/1996), no conti­e­nen ninguna habi­li­ta­ción, ni refe­ren­cia expresa, a la dispensa del consen­ti­mi­ento de los inter­e­sa­dos para el trata­mi­ento de sus datos, como tampoco lo hace el artí­culo 24 CE al garan­ti­zar el dere­cho a obte­ner la tutela efec­tiva de los jueces y tribu­na­les. Pues, «Cuando una norma jurí­dica esta­blece excep­ci­o­nes a las prohi­bi­ci­o­nes de trata­mi­ento de datos sin el consen­ti­mi­ento del inter­e­sado, es exigi­ble que lo efec­túe de una forma precisa, como sucede con las excep­ci­o­nes previs­tas en los apar­ta­dos 2 y 5 del artí­culo 6 de la Direc­tiva 2002/58, que se refi­e­ren al trata­mi­ento de los datos de tráfico nece­sa­rios a efec­tos de la factu­ra­ción de los abona­dos y los pagos de las inter­co­ne­xi­o­nes, o de la lucha contra el fraude, enten­di­endo por tal, de acuerdo con el consi­de­rando 29 de la Direc­tiva, el consis­tente en la utili­za­ción sin pago de servi­cios de comu­ni­ca­ci­o­nes elec­tró­ni­cas, pues una habi­li­ta­ción legal tácita o implí­cita para tratar datos perso­na­les sin consen­ti­mi­ento del titu­lar, en los térmi­nos que pretende la parte recur­rente, no es conforme con el conte­nido del dere­cho a la protec­ción de datos como dere­cho funda­men­tal, con un régi­men de espe­cial protec­ción en la CE.»

Además, resu­elve que, de acuedo con la STJU … «no cabe añadir ningún otro requi­sito de carác­ter excluyente a los dos requi­si­tos acumu­la­ti­vos contem­pla­dos en el artí­culo 7.f) de la Direc­tiva 95/46/CE para la reali­za­ción de un trata­mi­ento de datos, si bien es admi­si­ble que, en la ponde­ra­ción de los inter­e­ses en conflicto a que se refi­ere el segundo de los requi­si­tos menci­o­na­dos, se valore si los datos perso­na­les de que se trate figu­ran en fuen­tes acce­si­bles al público.» 

Si bien matiza que «sin perjui­cio de lo ante­rior, los razo­na­mi­en­tos de la senten­cia impug­nada sobre las fuen­tes de proce­den­cia de los datos objeto de trata­mi­ento, han de enten­derse en el contexto en que se produ­cen, que era el de respu­esta a la concreta alega­ción de la demanda, que propug­naba una inter­pre­ta­ción en sentido amplio de la expre­sión “fuente acce­si­ble al público” del artí­culo 6.2 LOPD, equi­pa­rando las redes P2P a los medios de comu­ni­ca­ción e incluyén­do­las entre estos, sin que la senten­cia recur­rida acep­tara esta inter­pre­ta­ción amplia, por consi­de­rar que, tanto el artí­culo 3.1.j) LOPD como el artí­culo 7 de su Regla­mento de desar­ro­llo, conti­e­nen una lista exhaus­tiva o cerrada de lo que deben consi­de­rarse fuen­tes acce­si­bles al público, en la que no se incluye inter­net.»

Por último, la Sala deter­mina que «que no es posi­ble entre­gar las direc­ci­o­nes IP a una enti­dad privada, como la recur­rente, que “ni siqui­era tiene la consi­de­ra­ción de enti­dad de gestión a los efec­tos de valo­rar el uso que pretende hacer de los datos de descarga de fono­gra­mas y pelí­cu­las”, lo que llevó a la senten­cia recur­rida a esti­mar refor­zada su conclu­sión, razo­nada en los funda­men­tos prece­den­tes, sobre la impro­ce­den­cia de la preten­sión de la parte recur­rente.»

Los hechos

La parte recur­rente  presentó un escrito ante la AEPD en el que soli­citó, al amparo del artí­culo 5.5 de la Ley Orgá­nica 15/1999, de 13 de dici­em­bre, de Protec­ción de Datos de Carác­ter Perso­nal (LOPD), la exen­ción del deber de infor­mar a los usua­rios de redes peer to peer (P2P) sobre el trata­mi­ento de sus datos, que la soli­ci­tante preten­día llevar a cabo para el ejer­ci­cio de defensa de los dere­chos de propi­e­dad inte­lec­tual de los produc­to­res y edito­res de fono­gra­mas y videos musi­ca­les.

La AEPD acor­dón no auto­ri­zar dicha exen­ción y la la Sala de lo Conten­ci­oso Admi­nis­tra­tivo de la Audi­en­cia Naci­o­nal dictó senten­cia deses­ti­ma­to­ria del recurso conten­ci­oso admi­nis­tra­tivo inter­pu­esto contra dicha deci­sión, contra la que se ha inter­pu­esto recurso de casa­ción.

Seguir leyendo